Homepage-Überwachung: Bleibt verboten – vorerst

In dem schon länger schwelenden Streit, ob staatliche Stellen IP-Adressen speichern dürfen oder nicht, hat das Bundesministerium der Justiz kürzlich eingelenkt und die Speicherung untersagt. Dieser Frieden könnte jedoch von kurzer Dauer sein: ein Gesetz, das für die Zukunft umfangreiche Datenspeicherungen erlaubt, ist bereits entworfen.

Hintergrund

Der eigentliche „Aufhänger“ des Streits ist die Frage, ob IP-Adressen personenbezogene Daten darstellen oder nicht. Diese Frage ist nicht eindeutig geklärt und in der Rechtsprechung durchaus umstritten.

So entschied z.B. das AG Berlin-Mitte in einem frühen Urteil (27.03.2007, Az. 5 C 314/06):

„Die Daten, die die Beklagte bis zum 11.12.2006 anlässlich der Nutzung des Internetportals des Bundesjustizministeriums 14 Tage speicherte (insbesondere auch die dynamische IP-Adresse) stellen nach zutreffender Ansicht personenbezogene Daten im Sinne des § 15 Abs. 1 TMG dar.[…] Dynamische IP-Adressen stellen in Verbindung mit den weiteren von der Beklagten ursprünglich gespeicherten Daten personenbezogene Daten im Sinne des § 15 TMG dar, da es sich um Einzelangaben über bestimmbare natürliche Personen im Sinne des § 3 Abs. 1 Bundesdatenschutzgesetz handelt. […] Eine Verneinung des Personenbezuges von dynamischen IP-Adressen mit der Folge der Nichtanwendbarkeit des TDDSG und TDSV, beziehungsweise jetzt des TMG und des TKG, hätte zur Folge, dass diese Daten ohne Restriktionen an Dritte z.B. den Access-Provider übermittelt werden könnten, die ihrerseits die Möglichkeit haben, den Nutzer aufgrund der IP-Adresse zu identifizieren, was mit dem Grundgedanken des Datenschutzrechts nicht vereinbar ist. […].“

Völlig anders sieht z.B. das AG München die Sache (Urteil vom 30.09.2008, Az. 133 C 5677/08):

„Anders als vom Amtsgericht Berlin entschieden, sind nach hiesiger Auffassung dynamische IP-Adresse keine personenbezogenen Daten im Sinne des § 3 Abs. 1 Bundesdatenschutzgesetz. […] Nach diesseitiger Auffassung stellen die IP-Adressen deswegen keine personenbezogenen Daten dar, weil ihnen die notwendige Bestimmbarkeit fehlt. Bestimmbarkeit ist dann gegeben, wenn die datenspeichernde Stelle die hinter der Einzelangabe stehende Person mit den ihr normalerweise zur Verfügung stehenden Kenntnissen und Hilfsmitteln und ohne unverhältnismäßigen Aufwand bestimmen kann […].“

Homepage-Überwachung durch das BKA

Beim BKA war es bisher Praxis, bei Zugriffen auf Fahndungsausschreibungen auf der Webpräsenz www.bka.de die jeweils genutzte IP-Adresse zu speichern. Hierdurch wollte man Adressen ausfindig machen, von denen aus mit auffälliger Häufigkeit auf bestimmte Fahndungsausschreibungen zugegriffen wurde – hier läge schließlich die Vermutung nahe, dass ein vom BKA Gesuchter regelmäßig den jeweiligen Ermittlungsstand in seiner Sache überprüfen könnte.

Nach dem oben zitierten Urteil des AG Berlin-Mitte vom 27.03.2007 prüfte das Bundesministerium der Justiz in Zusammenarbeit mit dem Bundesministerium des Inneren die Sache selbst und kam schon am 02.02.2009 zu dem Ergebnis, dass diese Praxis tatsächlich nicht ganz unbedenklich ist. Als primäre Kritikpunkte werden vom Bundesministerium der Justiz selbst angeführt:

„Die Homepageüberwachung führt zu einer Speicherung und Verwendung personenbeziehbarer und damit personenbezogener Daten im Sinne des § 3 Abs. 1 BDSG, mithin zu einem Eingriff in das Grundrecht auf informationelle Selbstbestimmung, der dem Gesetzesvorbehalt unterliegt. […] Der Umstand, dass bei der Homepageüberwachung eine große Anzahl von Daten – sämtliche Internetzugriffe auf eine bestimmte Seite der Homepage – erhoben, gespeichert und ausgewertet werden, lässt eine spezielle Befugnisnorm für dieses Vorgehen erforderlich erscheinen. Eine solche ist indessen nicht ersichtlich.“

Aufgrund dieser Erkenntnisse wurden seitens BKA und Generalbundesanwaltschaft sämtliche Maßnahmen zur Homepage-Überwachung eingestellt.

Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes

Eine Befugnisnorm zur Homepageüberwachung könnte jedoch bald bereitstehen: das Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes, das in seiner Entwurfsform bereits vorliegt (online einsehbar unter http://dip21.bundestag.de/dip21/btd/16/119/1611967.pdf). Dessen Artikel 1 sieht ein neues Gesetz über ein „Bundesamt für Sicherheit in der Informationstechnik“ (BSI-Gesetz bzw. BSIG) vor. Die Aufgabe dieses Neuen Bundesamtes wäre eine umfangreiche Gewinnung von Informationen im Bereich der IT-Sicherheit. So sähe das BSIG z.B. in § 5 Abs. 1, 4 und 5 folgendes vor:

„Das Bundesamt darf zur Abwehr von Gefahren für die Kommunikationstechnik des Bundes […] Protokolldaten, die beim Betrieb von Kommunikationstechnik des Bundes anfallen, erheben und automatisiert auswerten, soweit dies zum Erkennen, Eingrenzen oder Beseitigen von Störungen oder Fehlern bei der Kommunikationstechnik des Bundes oder von Angriffen auf die Informationstechnik des Bundes erforderlich ist, [sowie] die an den Schnittstellen der Kommunikationstechnik des Bundes anfallenden Daten automatisiert auswerten, soweit dies für die Erkennung und Abwehr von Schadprogrammen erforderlich ist. […]

Das Bundesamt kann die nach Absatz 3 verwendeten personenbezogenen Daten an die Strafverfolgungsbehörden zur Verfolgung einer Straftat von erheblicher Bedeutung oder einer mittels Telekommunikation begangenen Straftat übermitteln. Es kann diese Daten ferner übermitteln […] zur Abwehr einer Gefahr für die öffentliche Sicherheit, die unmittelbar von einem Schadprogramm ausgeht, an die Polizeien des Bundes und der Länder, [sowie] zur Unterrichtung über Tatsachen, die sicherheitsgefährdende oder geheimdienstliche Tätigkeiten für eine fremde Macht erkennen lassen, an das Bundesamt für Verfassungsschutz.

Für sonstige Zwecke kann das Bundesamt die Daten übermitteln […] an die Polizeien des Bundes und der Länder zur Abwehr einer Gefahr für den Bestand oder die Sicherheit des Staates oder Leib, Leben oder Freiheit einer Person oder Sachen von bedeutendem Wert, deren Erhalt im öffentlichen Interesse geboten ist, [sowie] an die Verfassungsschutzbehörden des Bundes und der Länder, wenn tatsächliche Anhaltspunkte für Bestrebungen in der Bundesrepublik Deutschland vorliegen, die durch Anwendung von Gewalt oder darauf gerichtete Vorbereitungshandlungen gegen die in § 3 Absatz 1 des Bundesverfassungsschutzgesetzes genannten Schutzgüter gerichtet sind. […]“

Die Artikel 2 und 3 des Gesetzes zur Stärkung der Sicherheit in der Informationstechnik des Bundes sehen darüber hinaus umfangreiche Änderungen am Telekommunikations- sowie dem Telemediengesetz vor. So soll z.B. § 15 TMG um einen Abs. 9 ergänzt werden, der dann so lautet:

„Soweit erforderlich, darf der Diensteanbieter Nutzungsdaten zum Erkennen, Eingrenzen oder Beseitigen von Störungen seiner für Zwecke seines Dienstes genutzten technischen Einrichtungen erheben und verwenden. Absatz 8 Satz 2 und 3 gilt entsprechend.“

Damit wäre es auch privaten Stellen (eben Anbietern von Online-Diensten) erlaubt, in Zukunft Daten (insbesondere IP-Adressen) über die Vorgänge in ihrem Angebotsbereich zu sammeln.

Fazit

Der momentane Frieden zwischen Datenschützern und Ermittlern ist trügerisch – wenn auch das Bundesministerium der Justiz im aktuellen Streit eingelenkt hat, so bereitet der Gesetzgeber gerade eine Befugnisnorm für umfangreiche Überwachungsaktivitäten im Internet vor.

Wie genau die endgültige Norm dann aussehen wird, muss die Zukunft zeigen – die oben skizzierten Regelungen entstammen schließlich einem Entwurf, keiner fertigen Norm.  Dieser Entwurf wird wegen seiner tiefen Eingriffe in mehrere Grundrechte zum Teil heftig kritisiert. Für alle, die sich beruflich mit dem Datenschutz auseinandersetzen oder  von der anstehenden Neuregelung betroffen sein könnten, ist es daher jetzt schon von Bedeutung, die anstehende Entwicklung genau zu verfolgen.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.